Wie doet wat bij de AVG: weet in welke rol je betrokken bent

Auteur: Helmi van Bergen, werkzaam als zelfstandig juridisch adviseur en als voorlichter bij het Grensinfopunt Maastricht en de ZZP-desk. Het artikel is geschreven op persoonlijke titel (info@juridiqua.nl) In een vorig artikel heb ik beschreven wat het doel is van de Algemene verordening gegevensbescherming (AVG)(1), wat persoonsgegevens zijn volgens de AVG, op welke rechtmatige manier persoonsgegevens verkregen dienen te worden en de basisprincipes die in de AVG staan om persoonsgegevens te verwerken. In dit artikel ga ik in op verschillende rollen en actoren die de AVG kent. Sinds 25 mei 2018 is de Algemene Verordening Gegevensbescherming (&lsquo;Verordening&rsquo; of &lsquo;AVG&rsquo;) rechtstreeks van toepassing in alle lidstaten van de Europese Unie. De AVG is ook wel bekend onder de Engelse naam: General Data Protection Regulation (GDPR). Dat betekent dat er sinds die datum dezelfde privacywetgeving geldt in de hele Europese Unie. Het doel van de Verordening is om twee belangen te waarborgen: de bescherming van natuurlijke personen in verband met de verwerking van hun gegevens en het vrije verkeer van persoonsgegevens binnen de Europese Unie (&lsquo;EU&rsquo;). De Verordening heeft rechtstreekse werking binnen de gehele Europese Unie en harmoniseert daarmee de regels voor de bescherming van persoonsgegevens. Maar, op specifieke punten biedt de Verordening lidstaten de ruimte om nadere invulling te geven aan de bepalingen. Deze invulling geschiedt via zogenaamde uitvoeringswetten. Het bovenstaande kan alleen gebeuren als er ook personen, organisaties en instanties betrokken zijn bij de uitvoering van de AVG. Duitsland De Algemene Verordening Gegevensbescherming (GDPR) van de Europese Unie (EU) is sinds 25 mei 2018 dus ook van toepassing in Duitsland. De nieuwe EU-wet, In Duitsland genoemd de DS-GVO, vervangt rechtstreeks de vorige federale wet inzake gegevensbescherming (BDSG a.F.) en de EU-richtlijn inzake gegevensbescherming (Richtlijn 95/46/EG), waarop de Bundesdatenschutzgesetz (BDSG) is gebaseerd.(2) Daar waar de AVG ruimte laat voor nationale keuze bij de uitvoering van de DS-GVO, zijn deze ingevuld in de BDSG voor Duitsland en LDSGe voor de deelstaten.(3) Belgi&euml; De Belgische Privacywet ter bescherming van persoonsgegevens, voluit de Wet van 8 december 1992 voor de bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens was de eerste wet die de burger moest beschermen tegen misbruik van zijn persoonlijke gegevens.(4) De wet is opgeheven door de wet van 25 mei 2018, in overeenstemming met de Europese Algemene verordening gegevensbescherming (AVG 2016/679) Daar waar de GDPR, ruimte laat voor nationale keuzes bij de uitvoering, zijn deze in Belgi&euml; ingevuld in de zogenaamde federale kaderwet.(5) Nederland In Nederland is deze Verordening de opvolger van de Wet bescherming persoonsgegevens (WBP). Daar waar de AVG ruimte laat voor nationale keuzes bij de uitvoering van de AVG, zijn deze ingevuld in de Uitvoeringswet AVG (UAVG).(6) Actoren De AVG kent een aantal specifiek in de Verordening genoemde actoren, die in dit artikel worden beschreven met de belangrijkste kenmerken, rechten en/of plichten. Maak hieronder kennis met de Betrokkene, de Verwerkingsverantwoordelijke, de Verwerker, de Ontvanger, de Derde, de DPO /FG en de Autoriteit Persoonsgegevens. Betrokkene De Betrokkene, in het Engels genoemd &ldquo;Data Subject&rdquo; en in het Duits &ldquo;Betroffene Person&rdquo;, is de belangrijkste rol in de AVG. De Betrokkene is de ge&iuml;dentificeerde of identificeerbare natuurlijke persoon (art. 4 lid 1 AVG).(7) Een natuurlijk persoon is volgens de AVG identificeerbaar wanneer die aan de hand van een identificator direct of indirect kan worden ge&iuml;dentificeerd. Die identificator kan van alles zijn, zoals een naam of een identificatienummer, maar kan bijvoorbeeld ook een kenteken zijn. Het gaat hierbij alleen over natuurlijke personen, die (nog) leven en niet over een bedrijf. Hoewel het natuurlijk wel zo kan zijn dat de naam van een eenmanszaak een indirect persoonsgegeven kan zijn. Elke Betrokkene heeft de volgende rechten volgens de AVG: Informatierecht: het recht om te weten of er persoonsgegevens over de betrokkene worden verwerkt (art 12 lid 7 en art. 15 lid 1 en 2 AVG) Inzagerecht: inzage in de door de verwerkingsverantwoordelijke verwerkte persoonsgegevens (art. 15 lid 1 AVG) Recht op kopie van de verwerkte persoonsgegevens (art 15, lid 3 en 4 AVG) Recht op dataportabiliteit/overdraagbaarheid van persoonsgegevens (art. 20 AVG) Recht op rectificatie van persoonsgegevens (art. 16 AVG) Recht op het aanvullen van gegevens (art. 16 AVG) Recht op vergetelheid oftewel het recht om te verzoeken verouderde gegevens te verwijderen (art. 17 AVG) Recht om niet onderworpen te worden aan geautomatiseerde besluitvorming (art. 22 AVG) Recht van bezwaar tegen de verwerking van zijn persoonsgegevens (art. 4 lid 4 en 25 AVG) Recht op beperking: het verzoek om de verwerking van persoonsgegevens tijdelijk stop te zetten (art. 4 lid 3 AVG) Het klachtrecht (art. 77 AVG) Verwerkingsverantwoordelijke De Verwerkingsverantwoordelijke, in het Engels de &ldquo;Controller&rdquo; en in het Duits &ldquo;der Verantwortlicher&rdquo;, (art. 4 lid 7 AVG) is de natuurlijke of rechtspersoon of een overheidsorganisatie die alleen of met andere Verwerkingsverantwoordelijke(n) het doel en de middelen van de verwerking van persoonsgegevens bepaalt. De AVG kent aan de Verwerkingsverantwoordelijke de volgende verplichtingen toe: Documentatieplicht: hij zal in kaart moeten brengen welke gegevens van welke personen verwerkt worden in zijn bedrijfsvoering. Dit moet hij vastleggen in bijvoorbeeld een gegevensverwerkingsregister. Dit geldt zowel voor de bestaande gegevensverwerkingen als ook voor nieuwe dataverwerkingsinitiatieven. Het aanstellen van een Functionaris Gegevensverwerking (FG) ook wel genoemd Data Protection Officer (DPO): voor een aantal organisaties is dit verplicht; echter indien de organisatie dit niet verplicht is, is het verstandig om een functionaris hiervoor aan te wijzen. Van elke bestaande &eacute;n nieuwe gegevensverwerking zal vooraf een effectbeoordeling (ook genoemd DPIA) gemaakt moeten worden: in een aantal gevallen is dit verplicht, echter voor elke verwerking aan te raden. Die effectbeoordeling geeft een beoordeling van de gegevensverwerking waarin onder andere de noodzaak tot verwerking, de aard, de soort en het aantal van de te verwerken gegevens, de risico&rsquo;s van de verwerking, het doel en de rechtmatigheid en de rechtsgrond van de verwerking worden beoordeeld. De Verwerkingsverantwoordelijke is verplicht om passende technische en organisatorische maatregelen te treffen. Transparantieverplichting: door op bijvoorbeeld de website een privacyverklaring op te nemen welke persoonsgegevens en op welke manier deze verwerkt worden, door aan de betrokkene te melden welke persoonsgegevens verwerkt te worden zowel vooraf alsook op aanvraag en door bij datalekken (een datalek is het verlies van persoonsgegevens door onbevoegde toegang door derden) dit te melden aan de Autoriteit Persoonsgegevens en de betrokkene. De Verwerker De Verwerker, in het Engels &ldquo;Data Processor&rdquo; en in het Duits &ldquo;Auftragsverarbeiter&rdquo;, is de organisatie, die in opdracht van de Verwerkingsverantwoordelijke de gegevensverwerking uitvoert. (art. 4 lid 8 AVG en artikel 28 AVG). Het meest aansprekende voorbeeld is het administratiekantoor, die voor de ondernemer/werkgever de salarisadministratie uitvoert. De ondernemer/werkgever bepaalt als Verwerkingsverantwoordelijke het doel en de middelen. Het doel is de uitbetaling van de salarissen en het middel is het administratiekantoor en zijn software. Belangrijk voor de Verwerker is het volgende: De Verwerker mag alleen doen wat hij afgesproken heeft met de Verwerkingsverantwoordelijke en niet meer. Datgene wat de Verwerker en de Verwerkingsverantwoordelijke afspreken dient verplicht te worden vastgelegd in de verwerkersovereenkomst. Dit mag in een ge&iuml;ntegreerde overeenkomst worden vastgelegd, maar ook in een afzonderlijk document. Indien de Verwerker een sub verwerker wil inschakelen, dient hij hiervoor toestemming te hebben van de Verwerkingsverantwoordelijke. Uiteraard dient de Verwerker een datalek onmiddellijk te melden aan de Verwerkingsverantwoordelijke. De Ontvanger De Ontvanger, in het Engels &ldquo;Recipient&rdquo; en in het Duits &ldquo;Empf&auml;nger, is een organisatie die persoonsgegevens ontvangt van een verwerkingsverantwoordelijke en voor het ontvangen en verder verwerken van persoonsgegevens eigen doelstellingen heeft (art 4, lid 9 AVG). De Derde De Derde, in het Engels &ldquo;Third Party&rdquo; en in het Duits &ldquo;Dritter&rdquo; is ieder andere persoon of organisatie, die in de verwerking van persoonsgegevens, geen directe rol speelt (art. 4 lid 10 AVG). De Functionaris Gegevensbescherming De Functionaris Gegevensbescherming (FG) (art. 37 AVG), in het Engels &ldquo;Data Protection Officer&rdquo; en in het Duits &ldquo;Datenschutzbeauftragter&rdquo; is een natuurlijk persoon, die onafhankelijk en deskundig is met betrekking tot de AVG, en is aangesteld binnen de organisatie van de verwerkings-verantwoordelijke of verwerker. In een aantal situaties is het verplicht om een Functionaris Gegevensbescherming aan te stellen, maar ook als dit niet verplicht is, kan het nuttig zijn om een FG aan te stellen. De FG: Is de contactpersoon binnen de organisatie, die informatie verstrekt en adviseert over de AVG en de FG dient betrokken te worden bij alle zaken rondom het verwerken van persoonsgegevens; Is het aanspreekpunt voor alle betrokkenen, die vragen en/of klachten hebben over de verwerking van persoonsgegevens in die organisatie; Is de contactpersoon en het primaire aanspreekpunt voor de Autoriteit Persoonsgegevens Houdt toezicht en controle op de werking van de AVG in de organisatie; Dient onafhankelijk te zijn van het management/directie en mag ook niet worden ontslagen naar aanleiding van zijn handelen als FG; Moet voldoende middelen krijgen om zijn werk te doen; Moet toegang krijgen tot alle relevante databases en bestanden waarin persoonsgegevens (kunnen) staan en verwerkt worden; Dient ook (vooraf) betrokken te worden bij alle nieuwe gegevensverwerkingen en aanpassingen op bestaande gegevensverwerkingen. Autoriteit Persoonsgegevens In elk land van de Europese Unie is een toezichthoudend orgaan ingesteld (art. 51 AVG). In Nederland is dit de Autoriteit Persoonsgegevens. In Duitsland is dit die Bundesbeauftragte f&uuml;r den Datenschutz und die Informationsfreiheit (BfDI). In Belgi&euml; is dit de gegevensbeschermingsautoriteit. Dit is een onafhankelijke toezichthoudende autoriteit wiens primaire taak is het monitoren van de toepassing van de AVG en het handhaven van de AVG. Meer specifiek zijn dit de volgende taken: Onderzoek doen naar de naleving van de AVG en andere Europese en Nederlandse privacyregels; Handhaven van de AVG door middel van gericht onderzoek en/of naar aanleiding van klachten van betrokkenen; Voorlichting geven en bewustwording cre&euml;ren over de AVG en privacyregels Daarvoor heeft de Autoriteit Persoonsgegevens de volgende bevoegdheden: Toegang tot alle relevante persoonsgegevens, kantoren, computers etcetera; Het opleggen van corrigerende maatregelen zoals het geven van een waarschuwing of berisping, het opleggen van een boete, het tijdelijk of zelfs definitief beperken of verbieden van de gegevensverwerking. Conclusie Voorheen waren er verschillen tussen de lidstaten op gebied van data- en privacywetgeving, hier maakt de GDPR voor een groot deel een eind aan. Echter, kunnen de lidstaten een eigen invulling geven op diverse punten. Door de nieuwe wetgeving is het juridisch gezien in de EU een stuk makkelijker geworden, maar door de eigen invullingen van de lidstaten blijft het opletten wanneer men internationaal actief is. Uit het bovenstaande volgt dat elke persoon in elk geval een Betrokkene is. Daarnaast is het heel goed mogelijk dat deze persoon naast zijn/haar rol als Betrokkene ook een of meerdere andere rollen kan uitoefenen bij de verwerking van persoonsgegevens en de AVG. Weten welke rol je op welk moment speelt en wat te doen in die betreffende rol is noodzakelijk en belangrijk. In een volgend artikel ga ik in op de doorgifte van persoonsgegevens naar derde landen. Noten 1. https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679#d1e1484-1-1 2. https://www.gesetze-im-internet.de/bdsg_2018/ 3. https://www.gesetze-im-internet.de/bdsg_2018/BJNR209710017.html 4. https://www.belgium.be/nl/justitie/privacy/bescherming_persoonsgegevens en https://www.ejustice.just.fgov.be/cgi_loi/change_lg.pl?language=nl&la=N&table_name=wet&cn=2018073046 5. https://zoek.officielebekendmakingen.nl/stb-2018-144.html en https://zoek.officielebekendmakingen.nl/stcrt-2018-66680.html 6. Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) https://wetten.overheid.nl/BWBR0040940/2020-01-01/0/ 7. https://eur-lex.europa.eu/eli/reg/2016/679/oj